Pierwsze 15 minut alertu L1

Alert na dashboardzie Wazuha w home labie wygląda poważnie. Często jest to ten sam testowy sudo, SSH albo Event ID, który sam wywołałeś pięć minut wcześniej. L1 zaczyna się nie od „incydent!”, tylko od notatki, którą da się odtworzyć.

Ten wpis nie opisuje cudzego SOC i nie obiecuje MTTA. Opisuje, co zapisuję, zanim ruszę regułę albo izolację.

Co musi być w notatce

Minimum, zanim otworzysz kolejną zakładkę:

1. czas z strefą — 2026-09-13 11:27 Europe/Warsaw, nie „przed chwilą”
2. host — nazwa, IP jeśli znasz, Windows czy Linux
3. konto / proces — jeśli log je ma; puste pole też jest faktem
4. skąd alert — rule id / nazwa, nie screenshot całego SIEM
5. surowy fragment — jedna linia logu albo Event ID + kanał
6. następne pytanie — jedno, nie lista narzędzi

Bez punktów 1–3 korelacja z drugim hostem kłamie. Bez 4–5 nie odróżnisz nowej detekcji od tej, którą wczoraj uznałeś za FP.

Szablon szerszy (intake → fakty → decyzja) jest w checkliście IR. Tutaj chodzi o pierwsze kwadrans, zanim ktoś nazwie to sprawą.

Fakty i hipoteza nie mieszają się w jednym zdaniu

Złe: „Ktoś włamał się na Linuxa, bo jest alert 5503.”

Lepsze:

• fakt: sshd odrzucił logowanie na lab-linux o 11:27 z 192.168.56.10
• hipoteza: skan z sąsiedniej VM, którą sam odpalam
• sprawdzenie: czy ten adres jest w labie; czy liczba prób jest 1 czy 400; czy po auth jest udane logowanie

Jeśli nie umiesz powtórzyć zdarzenia (to samo polecenie, ten sam host, ten sam log), nie rozumiesz jeszcze detekcji. W labie to zaleta: możesz odtworzyć. Na produkcji często nie — dlatego notatka z labem uczy dyscypliny, nie „godzin zaoszczędzonych w SOC”.

Czego nie robić w pierwszych 15 minutach

• nie wyłączaj reguły, bo „za dużo alertów” — najpierw przegląd reguły
• nie restartuj hosta, żeby „wyczyścić”
• nie wklejaj do zgłoszenia całego dashboardu bez czasu i hosta
• nie eskaluj samego koloru alertu

Łańcuch z architektury labu zostaje ten sam:

zdarzenie → log → detekcja → alert → triage → notatka

SIEM jest środkowym ogniwem. Jeśli notatka jest pusta, alert nic nie zmienił.

Kiedy to jest tylko lab

Jedna osoba, jeden hypervisor, znane testy — to nie jest dyżur 24/7. Wolno napisać: „odtworzone, FP, zostawiam regułę bo warunek jest poprawny”. Wolno też napisać: „nie wiem, potrzebuję logu z auth i czasu z NTP”. Oba zdania są lepsze niż „incydent w toku” bez hosta.